Как безопасно смотреть IP-камеры удалённо
Практика3 минРедакция Innovialabs
Коротко
Безопаснее всего смотреть камеры удалённо через VPN в сеть офиса; P2P-приложение производителя — допустимый компромисс, а проброса портов камер и регистратора в интернет лучше избегать.
Короткий ответ
Не делайте камеры и регистратор напрямую доступными из интернета. По порядку предпочтения:
- VPN в сеть офиса или дома — и вы смотрите камеры так, будто находитесь на месте.
- P2P-приложение производителя, если оно обновляется и защищено надёжной учётной записью.
- Проброс портов — только в крайнем случае, а лучше никогда.
Камеры и NVR — это маленькие компьютеры с веб-интерфейсом, сервисами и прошивкой, которую обновляют редко. Как только они видны из интернета, их автоматически сканируют и пробуют взломать.
Сравнение трёх способов
| Способ | Как работает | Плюсы | Риски |
|---|---|---|---|
| VPN | Телефон или ноутбук подключается к локальной сети через шифрованный туннель | Камеры закрыты от интернета, одна защищённая точка входа | Нужен роутер или сервер с VPN и настройка |
| P2P-облако | Регистратор подключается к серверу производителя, приложение — через него | Работает без белого IP, быстрая настройка | Зависимость от безопасности производителя и защиты аккаунта |
| Проброс портов | Роутер перенаправляет внешний порт на камеру или NVR | Просто, работает с любым клиентом | Веб-интерфейс и сервисы устройства открыты всему интернету |
VPN — лучший вариант по умолчанию. WireGuard, встроенный VPN-сервер многих бизнес-роутеров или mesh-VPN-сервис позволяют открыть доступ только к подсети камер и только нужным людям.
P2P удобен, когда нет белого IP-адреса или некому поддерживать VPN. Пользуйтесь только официальным приложением, включите двухфакторную аутентификацию в аккаунте, если производитель её даёт, и держите прошивку регистратора актуальной.
Проброс портов HTTP, RTSP или фирменных портов — самая частая причина, по которой камеры попадают в публичные поисковики подключённых устройств. Если выхода нет, хотя бы ограничьте доступ известными IP-адресами на роутере и смените порт на нестандартный — последнее лишь снижает шум и защитой не является.
Чем опасны пароли по умолчанию и старые прошивки
- Заводские и слабые пароли. Списки стандартных логинов популярных брендов общедоступны, боты перебирают их автоматически.
- Незакрытые уязвимости. В прошивках камер находили серьёзные дыры, в том числе позволявшие войти без пароля. Обновления закрывают их, только если их установить.
- Ботнеты. Взломанную камеру используют для атак на другие системы, а видео она при этом показывает как обычно — вы можете ничего не заметить.
- Вход во внутреннюю сеть. Камера в одной сети с компьютерами бухгалтерии становится дверью к ним.
Чек-лист защиты
Учётные записи
- Смените все пароли по умолчанию, включая камеры, которыми управляет регистратор.
- Создайте раздельные учётки: администратор для настройки и учётки «только просмотр» для сотрудников.
- Отключите или переименуйте встроенные учётные записи, где это возможно.
Прошивка и сервисы
- Обновите камеры и NVR до актуальной прошивки с официального сайта производителя.
- Отключите UPnP на роутере и регистраторе, чтобы устройства не открывали порты сами.
- Выключите неиспользуемые сервисы: Telnet, SSH, FTP, HTTP без шифрования, если есть HTTPS.
- Отключите P2P на устройствах, если вместо него используете VPN.
Сеть
- Вынесите камеры в отдельный VLAN или подсеть.
- Разрешите камерам общаться только с регистратором; закройте им выход в интернет, если система работает без него.
- Пускайте удалённых пользователей в подсеть камер только через VPN.
Контроль
- Включите журнал входов и периодически его просматривайте.
- Настройте правильное время и NTP, чтобы записи и логи совпадали.
- Пересматривайте список устройств и учётных записей хотя бы при уходе сотрудников.
Частые ошибки
- «Временно» пробросить порты при монтаже и забыть о них.
- Одна общая учётка на всех, а пароль — в чате.
- Камеры без истории обновлений от производителей, которые не публикуют прошивки.
- Камеры и офисные компьютеры в одной плоской сети.